Como consumidores, somos todos forçados a depositar certa confiança nas empresas de tecnologia que usamos. Afinal de contas, a maioria de nós não tem habilidade suficiente para descobrir falhas de segurança e vulnerabilidades por conta própria.
O debate em torno da privacidade e do recente furor causado pelo Windows 10 O recurso WiFi Sense do Windows 10 representa um risco à segurança? O recurso WiFi Sense do Windows 10 representa um risco de segurança? Leia mais é apenas uma parte do quebra-cabeças. Outra parte - ainda mais sinistra - é quando o próprio hardware tem falhas.
Um usuário de computador experiente pode gerenciar sua presença online e ajustar configurações suficientes para limitar suas preocupações com privacidade Tudo o que você precisa saber Sobre os problemas de privacidade do Windows 10 Tudo o que você precisa saber Sobre o Windows 10 Problemas de privacidade muitas alegações foram desproporcionais. Aqui está o nosso guia para tudo o que você precisa saber sobre os problemas de privacidade do Windows 10. Leia mais, mas um problema com o código subjacente de um produto é mais sério; é muito mais difícil identificar e mais difícil para um usuário final abordar.
O que aconteceu?
A mais recente empresa a entrar em um pesadelo de segurança é a popular fabricante de equipamentos de rede taiwanesa, a D-Link. Muitos de nossos leitores usarão seus produtos em casa ou no escritório; em março de 2008, eles se tornaram o fornecedor número um de produtos Wi-Fi no mundo e atualmente controlam cerca de 35% do mercado.
Notícias quebraram hoje cedo de gaffe que viu a empresa lançar suas chaves de assinatura de código privado dentro do código-fonte de uma atualização de firmware recente. As chaves privadas são usadas como uma maneira de um computador verificar se um produto é original e se o código do produto não foi alterado ou corrompido desde que foi originalmente criado.
Em termos leigos, portanto, essa brecha significa que um hacker poderia usar as chaves publicadas em seus próprios programas para enganar um computador e pensar que seu código malicioso era na verdade um produto D-Link legítimo.
Como isso aconteceu?
A D-Link orgulha-se da sua abertura há muito tempo. Parte dessa abertura é um compromisso de abrir o código-fonte de todo o seu firmware sob uma licença General Public License (GPL). Na prática, isso significa que qualquer pessoa pode acessar o código de qualquer produto da D-Link - permitindo que eles ajustem e corrijam de acordo com seus próprios requisitos precisos.
Em teoria, é uma posição recomendável a ser tomada. Aqueles de vocês que estão a par do debate Apple iOS vs Android certamente estão cientes de que uma das maiores críticas feitas à empresa com sede em Cupertino é o compromisso inabalável de permanecer fechado para as pessoas que gostariam de ajustar a fonte. código. É a razão por que não há ROMs personalizados como o Cyanogen Mod do Android Como instalar o CyanogenMod no seu dispositivo Android Como instalar o CyanogenMod no seu dispositivo Android Um monte de gente pode concordar que o sistema operacional Android é muito legal. Não só é ótimo de usar, mas também é gratuito, como em código aberto, para que possa ser modificado ... Leia Mais para os dispositivos móveis da Apple.
O lado oposto da moeda é que, quando são feitos erros graves de código aberto em larga escala, eles podem ter um enorme efeito knock-on. Se o firmware deles fosse fechado, o mesmo erro teria sido um problema muito menor e muito menos provável de ter sido descoberto.
Como foi descoberto?
A falha foi descoberta por um desenvolvedor norueguês conhecido como “bartvbl” que havia comprado recentemente a câmera de vigilância DCS-5020L da D-Link.
Sendo um desenvolvedor competente e curioso, ele decidiu pesquisar “sob o capô” no código-fonte do firmware do dispositivo. Dentro dele, ele encontrou as chaves privadas e as senhas necessárias para assinar o software.
Ele começou a conduzir suas próprias experiências, descobrindo rapidamente que ele era capaz de criar um aplicativo do Windows que era assinado por uma das quatro chaves - dando a impressão de que vinha da D-Link. As outras três chaves não funcionaram.
Ele compartilhou suas descobertas com o Tweakers, um site de notícias de tecnologia holandês que, por sua vez, transmitiu a descoberta à empresa de segurança holandesa Fox IT.
Eles confirmaram a vulnerabilidade, emitindo a seguinte declaração:
“O certificado de assinatura de código é, de fato, para um pacote de firmware, versão de firmware 1.00b03. Sua fonte data de 27 de fevereiro deste ano, significando que as chaves deste certificado foram lançadas bem antes do certificado expirar. É um grande erro ”.
Por que é tão sério?
É sério em vários níveis.
Em primeiro lugar, a Fox IT informou que havia quatro certificados na mesma pasta. Esses certificados vieram da Starfield Technologies, da KEEBOX Inc. e da Alpha Networks. Todos eles poderiam ter sido usados para criar códigos maliciosos que têm a capacidade de ignorar o software antivírus Comparar o desempenho do seu antivírus com esses 5 sites principais Comparar o desempenho do antivírus com esses 5 principais sites Qual software antivírus Deveria usar? Qual é o melhor"? Aqui, analisamos cinco dos melhores recursos on-line para verificar o desempenho antivírus, para ajudá-lo a tomar uma decisão informada. Leia mais e outras verificações de segurança tradicionais - na verdade, a maioria das tecnologias de segurança confiará nos arquivos assinados e os deixará passar sem questionar.
Em segundo lugar, ataques de ameaça persistente avançada (APT) estão se tornando um modus operandi cada vez mais favorecido para hackers. Eles quase sempre usam certificados e chaves perdidos ou roubados para subjugar suas vítimas. Exemplos recentes incluem o Controvérsia Final do malware Destover wiper 2014: Controvérsia Final do Sony Hack, The Interview e Coréia do Norte 2014: Sony Hack, A Entrevista e a Coréia do Norte A Coréia do Norte realmente invadiu a Sony Pictures? Onde está a evidência? Alguém mais poderia ganhar com o ataque, e como o incidente se transformou em promoção para um filme? Leia mais usado contra a Sony em 2014 e o ataque Duqu 2.0 aos fabricantes chineses da Apple.
Adicionando mais poder ao arsenal do criminoso é claro não sensato, e volta para o elemento de confiança mencionado no início. Como consumidores, precisamos que essas empresas sejam vigilantes na proteção de seus ativos baseados em segurança, a fim de ajudar a combater a ameaça de criminosos cibernéticos.
Quem é afetado?
A resposta honesta aqui é que não sabemos.
Embora a D-Link já tenha lançado novas versões do firmware, não há como saber se os hackers conseguiram extrair e usar as chaves antes da descoberta pública do bartvbl.
Espera-se que a análise de amostras de malware em serviços como o VirusTotal possa, em última instância, fornecer uma resposta à pergunta. Primeiro, precisamos esperar que um possível vírus seja descoberto.
Esse incidente sacode sua confiança na tecnologia?
Qual a sua opinião sobre esta situação? Falhas como essa são inevitáveis no mundo da tecnologia, ou as empresas são culpadas por sua má atitude em relação à segurança?
Um incidente como esse faria com que você utilizasse os produtos da D-Link no futuro, ou aceitaria o problema e continuaria independentemente?
Como sempre, adoraríamos ouvir de você. Você pode nos informar seus pensamentos na seção de comentários abaixo.
Crédito de imagem: Matthias Ripp via Flickr.com